Un ritorno alle preoccupazioni di inizio pandemia, con la sensazione del rischio di un attacco materiale imminente e una percezione di inadeguatezza nell’affrontare cyberattacchi mirati. Il timore crescente della perdita di dati, spesso causata dai dipendenti in uscita dalle aziende, e la forte pressione personale rispetto ad un ruolo che risponde ad aspettative sempre più elevate. Sono questi i sentiment più evidenti che vivono oggi i Ciso a fronte di un contesto di minacce crescenti. Li evidenzia l’ultimo report di Proofpoint – Voice of the Ciso 2023 – con cui l’azienda per il terzo anno consecutivo inquadra le sfide in atto sul fronte della cybersecurity e valuta il livello di maturità del mercato, indagando i pareri dei responsabili della sicurezza informatica.
Lo studio coinvolge 1.600 chief information security officer di aziende medio-grandi di settori diversi in 16 Paesi a livello europeo e globale, Italia inclusa, con 100 intervistati per nazione. A commentarcene i risultati, come di consueto, è Luca Maiocchi, country manager Italia di Proofpoint, affiancato in questa occasione da Matteo Colella, Ciso di Siram Veolia – azienda attiva nell’efficienza e nella trasformazione ecologica ed energetica -, che in veste di rappresentante delle community dei Ciso dà voce ad esigenze comuni.
Ciso italiani, impreparati e sotto pressione
I Ciso italiani mantengono un livello di preoccupazione costante rispetto all’anno scorso ma si riconoscono meno preparati, rileva l’indagine. Il 49% si sente infatti a rischio di attacco materiale nei prossimi 12 mesi, rispetto al 46% del 2022 e al 64% del 2021. Il 52% ritiene la propria organizzazione impreparata ad affrontare un attacco mirato, rispetto al 42% dello scorso anno e al 63% del 2021.
“Questi dati evidenziano una probabile perdita di quel senso di fiducia che si era sperimentato per un breve periodo, quando i Ciso erano ottimisti dopo essersi messi i problemi scatenati dalla pandemia alle spalle – commenta Maiocchi -. Oggi questa sensazione è già svanita, sostituita da un elevato livello di preoccupazione. Si torna cioè a quello che in Proofpoint abbiamo definito “business as usual”, ovvero la fase in cui i Ciso sono meno sicuri delle capacità della propria azienda di difendersi dai rischi IT”.
“Il dato italiano del 49% (che si confronta con una media globale del 68%) è considerato dalla community un trend piuttosto allarmante, legato ad una percezione errata, perché è noto che tutte le aziende siano esposte ad attacchi cyber, e ciò che bisogna chiedersi oggi non è se un attacco avverrà ma quando avverrà – dichiara Colella -. Un tema peraltro strettamente legato alla preparazione cyber delle aziende”. Esiste infatti uno scollamento tra la probabilità percepita di un attacco informatico e il grado di preparazione delle aziende nell’affrontarlo. Il 61% dei Ciso a livello globale pensa che la propria organizzazione non sia preparata a gestire un attacco, percentuale che in Italia è del 52% (rispetto al 42% del 2022 e al 63% del 2021). “Anche in questo caso il numero dei Ciso italiani che ritiene impreparata la propria organizzazione è significativamente più basso della media globale – prosegue Maiocchi – e ancora di più rispetto ad alcuni Paesi specifici, culturalmente diversi nell’approccio alle tematiche della sicurezza, come quelli anglosassoni, dove si registra una percezione di inadeguatezza molto più alta”. Per fare alcuni esempi, la percentuale si attesta negli UK a 76%; in Francia al 76% e in Brasile al 72%.
Allarme sulla supply chain
Tra gli attacchi, quelli alla supply chain sono in cima alla lista delle preoccupazioni dei Ciso, con un cambiamento generale sulla percezione delle principali minacce. Al secondo posto le frodi via e-mail, con la compromissione della posta elettronica aziendale, seguito dal malware. Nel 2022 la principale preoccupazione era invece rappresentata dalle minacce insider, seguite da smishing/vishing e frodi via e-mail.
Crescono conseguentemente, seppure di poco, gli investimenti per proteggere le filiere del business. Il 51% dei Ciso italiani afferma infatti di avere dei controlli adeguati per mitigare il rischio della supply chain, dato in leggero aumento rispetto al 49% dello scorso anno. Ciò, nonostante una riduzione degli investimenti a livello generale, con il 53% dei Ciso per i quali l’instabilità economica ha avuto un impatto negativo sul proprio budget per la cybersecurity. “I Ciso sono consapevoli dell’importanza delle supply chain e dell’impatto significativo che gli attacchi cyber e ransomware possono produrre su di esse” dichiara Maiocchi, che auspica “una collaborazione continua e in costante evoluzione tra le aziende e i loro fornitori sul tema della sicurezza, che si traduca in requisiti e controlli informatici più rigorosi”, anche a livello di sistema. E sul fronte dei ransomware, il 54% dei Ciso italiani ritiene che la propria azienda pagherebbe un riscatto per ripristinare i sistemi e impedire la diffusione dei dati in caso di attacco.
Una collaborazione tra i vari settori permette di aumentare il livello di protezione e i vantaggi per tutti, fungendo da maggiore deterrente per gli avversari. Interviene su questo aspetto Colella: “L’attenzione alla supply chain è un segno di maturità e si lega alla percezione che la cybersecurity non debba rappresentare più la sola azienda ma anche l’intero ecosistema e che difenderlo sia una priorità assoluta perché si tratta di un processo complesso, che esige controlli continui, a partire dall’esposizione online delle imprese”.
Perdita dati, gli insider pesano
Il rischio umano si conferma un punto debole sul quale cresce la preoccupazione dei Ciso, con un aumento tra chi considera l’errore dell’uomo la principale vulnerabilità IT della propria organizzazione: il 48% rispetto al 43% del 2022. Parallelamente, cresce il senso di responsabilizzazione delle persone: il 54% dei Ciso pensa infatti che i dipendenti comprendano sempre più il proprio ruolo nella protezione dell’azienda. “Per fronteggiare le vulnerabilità legate all’aspetto umano bisogna spingere sulla formazione continua e sulla condivisione, non solo per rispondere alla compliance ma anche come arma principale per le aziende, rendendo tutti consapevoli e partecipi dei rischi”, commenta Colella.
Le aziende adottano soluzioni di sicurezza e controlli di mitigazione per proteggersi dalla perdita di dati sensibili, ma sono abbastanza inermi di fronte ai dipendenti che lasciano l’azienda portando con sé i dati aziendali. Un problema che appare molto sentito tra i Ciso italiani: tra coloro che hanno subito una perdita di dati (il 54%), l’83% concorda sul fatto che i dipendenti che hanno lasciato l’azienda abbiano contribuito alla perdita dei dati. Un problema peraltro difficilmente risolvibile.
Prospettive e strategie future
Tutti gli elementi descritti concorrono a far cresce la pressione sui Ciso, il 51% dei quali ritiene di dover affrontare aspettative lavorative irragionevoli, in aumento rispetto al 45% dello scorso anno. Il 53% è preoccupato per la responsabilità personale e il 48% ha sperimentato una forma di burnout negli ultimi 12 mesi. Cresce per questo motivo anche il ricorso alle assicurazioni per spostare il rischio, sebbene la gestione dei rimborsi in questo contesto sia molto complicata. “Oggi alcune assicurazioni richiedono l’implementazione di soluzioni specifiche per elevare la sicurezza delle aziende assicurate e alcune compagnie del settore stanno pensando di non proporre più questo tipo di polizze”, sottolinea Colella.
Come nota positiva, i Ciso e i cda sembrano oggi molto più allineati sulle questioni di cybersecurity; lo ritiene il 57% dei manager italiani con un aumento sostanziale rispetto al 34% dello scorso anno, e più in linea con il 56% del 2021.
Guardando in prospettiva, al 2023 e oltre, ci si aspetta un inasprimento delle minacce. Il ransomware sembra destinato a provocare ulteriori disagi, con l’estorsione di dati che diventa la regola piuttosto che l’eccezione. Allo stesso tempo, l’ascesa di strumenti di exploit del dark web, di broker dell’accesso iniziale e di infrastrutture di attacco as-a-service minaccia di rendere il crimine informatico ancora più accessibile. “A fronte di attacchi sempre più pericolosi, i Ciso devono affrontare un futuro ancora più difficile – conferma Maiocchi -, soprattutto a causa della precarietà dei budget per la sicurezza e delle nuove pressioni lavorative. Ora che il livello di preoccupazione è tornato sensibilmente a salire, i Ciso devono concentrarsi sulle giuste priorità per portare le proprie aziende verso la resilienza informatica, per proteggere persone e dati”.
Proofpoint vuole concorrere a questo obiettivo – racconta Maiocchi – mettendo al servizio del mercato le tecnologie di un’azienda che cresce numericamente, sia in Italia (dove il team conta oggi circa 30 persone), sia a livello worldwide (quasi 5.000 i dipendenti), con un 1 miliardo di dollari di revenue raggiunto nel 2020 e l’obiettivo di arrivare ai 2 miliardi di dollari nel 2024. Sono 23 le aziende acquisite ad oggi; la più recente, a dicembre, di Illusive, realtà attiva nel rilevamento e nella neutralizzazione delle minacce legate alle identità, che come tutte le tecnologie acquisite è stata integrata nella piattaforma Proofpoint.
© RIPRODUZIONE RISERVATA
